Web Services Federation プロトコル

Auth0 が Web Services Federation (WS-Fed) プロトコルとどのように連携するかを説明します。

Web Services Federation (WS-Federation または WS-Fed) は、より大きな WS-Security フレームワークの一部であり、WS-Trust の機能を拡張するものです。WS-Federation の機能は、SOAP アプリケーションや Web サービスで直接利用できます。WS-Fed は、トークンの発行を調整するために使用できるプロトコルです。このプロトコルは、アプリケーション (Windows Identity Foundation ベースのアプリなど) や、ID プロバイダー (Active Directory Federation Services や Azure AppFabric Access Control Service など) で利用できます。

​

アプリケーション向け

Auth0 でアプリケーションを登録すると、次の形式の WS-Fed エンドポイントが自動的に割り当てられます。

https://{yourDomain}/wsfed/{yourClientId}

WS-Fed の設定に使用できるすべてのオプションは、アプリケーションの詳細設定で確認できます。

Relying Party を設定する必要があります。これは、次のメタデータ エンドポイントを使用して行えます。

https://{yourDomain}/wsfed/FederationMetadata/2007-06/FederationMetadata.xml

また、rules で使用できる samlConfiguration オブジェクトを使って、トークンで送信されるクレームや、そのほかの下位レベルの WS-Fed および SAML-P の設定も行えます。

ユーザーを WS-Fed エンドポイントにリダイレクトする際は、次の (任意の) パラメーターを使用できます。

パラメーター	説明
wa=wsignin1.0	Auth0 が Relying Party 用のトークンを発行するかどうか (既定)
wa=wsignout1.0	Auth0 がユーザー セッションをクリアしてユーザーをログアウトさせるかどうか
wreply={callback_URL}	応答の送信先
wctx={state}	アプリケーションの状態
whr={connection_name}	使用する接続 (ユーザーは Auth0 のログインページをスキップできます)
wfresh=0	セッションが存在していてもユーザーに再認証を求めるかどうか (0 の場合は再認証が必要)

任意のパラメーターを含む URL は、次のようになります。

https://{yourDomain}/wsfed/{yourClientId}?whr=google-oauth2

​

ID プロバイダー

Auth0 を WS-Federation プロトコルを使用する ID プロバイダー (Active Directory Federation Services、Azure AppFabric Access Control Service、IdentityServer など) と併用している場合、統合を設定する最も簡単な方法は、Dashboard で ADFS 接続タイプを作成して使用することです。これを行う方法は 2 つあります。

• Federation Metadata ファイルをインポートする
• 変更を確認するために Federation Metadata エンドポイントを有効にする

​

Federation Metadata ファイルをインポートする

ADFS ベースの接続を設定する際は、Federation Metadata エンドポイントを Auth0 に指定するか、Federation Metadata ファイルをインポートまたはアップロードすることで、必要なパラメーターを取り込めます。

連携の設定を完了するために必要な手順が表示されます。

​

Federation Metadata endpoint を有効にする

Federation Metadata ファイルには、ID プロバイダーの証明書に関する情報が含まれています。Federation Metadata エンドポイント (通常は /FederationMetadata/2007-06/FederationMetadata.xml で終わる形式) を指定すると、Auth0 は設定の変更を毎日確認できます。たとえば、ロールオーバーに備えて追加された新しい署名証明書などです。そのため、単体の metadata ファイルを指定するよりも、Federation Metadata エンドポイント を有効にすることを推奨します。単体の metadata ファイルを指定した場合は、証明書の有効期限が近づくとメールで通知します。

Federation Metadata にプライマリ証明書とセカンダリ証明書の両方が含まれている場合は、Auth0 でその両方を使用できます。

Federation Metadata エンドポイント を使用して証明書をロールオーバーするには、次の手順に従います。

1. 新しい証明書を生成し、ADFS 環境のセカンダリ証明書として追加します。これは、現在有効なプライマリ証明書の有効期限が切れる少なくとも 2 日前 に行う必要があります。
2. Auth0 が Federation Metadata エンドポイント から新しい証明書を取得できるようにします。Auth0 は endpoint を 1 日に 1 回確認するため、この手順が完了するまでに十分な時間を確保してください。 または、Auth0 Dashboard にログインし、該当する ADFS 接続に移動して Save をクリックすることで、この手順を手動で完了することもできます。これにより、Auth0 は証明書を即座にダウンロードします。
3. ADFS 環境で既存のプライマリ証明書の有効期限が切れる前に、現在セカンダリになっている証明書をプライマリ証明書として設定します。

​

​

詳細はこちら

• WS-Fed アプリケーションの設定